Pierwsze działania po stwierdzeniu wycieku danych

Po wykryciu naruszenia należy niezwłocznie podjąć działania ograniczające jego skutki. Celem jest zarówno zabezpieczenie danych, jak i zebranie informacji potrzebnych do dalszej analizy.

W pierwszej kolejności warto ustalić:
– jakie dane zostały objęte naruszeniem,
– ilu osób dotyczy incydent,
– czy dane zostały utracone, ujawnione lub zmodyfikowane,
– czy naruszenie nadal trwa,
– jakie działania naprawcze należy wdrożyć natychmiast.

Należy również zabezpieczyć materiał dowodowy, który może być potrzebny podczas dalszej analizy oraz przy ewentualnej kontroli.

Audyt doraźny po naruszeniu danych

Jednym z najważniejszych działań po wykryciu incydentu jest przeprowadzenie audytu doraźnego.

Audyt taki powinien być realizowany pod nadzorem administratora danych, ponieważ to administrator odpowiada za zgodność przetwarzania danych z przepisami oraz podejmuje decyzje dotyczące dalszego postępowania.

W audycie uczestniczą:
– administrator danych,
– Inspektor Ochrony Danych (jeżeli został wyznaczony),
– Administrator Systemów Informatycznych (jeżeli został wyznaczony i naruszenie dotyczy systemów teleinformatycznych),
– osoby odpowiedzialne za obszar organizacyjny objęty naruszeniem.

Celem audytu doraźnego jest ustalenie:
– przyczyn incydentu,
– skali naruszenia,
– źródła problemu,
– ewentualnych skutków dla osób, których dane dotyczą,
– skuteczności zastosowanych zabezpieczeń,
– konieczności wdrożenia dodatkowych środków technicznych lub organizacyjnych.

Audyt powinien kończyć się raportem zawierającym wszystkiwe ustalenia, które pozwolą na oszacowanie wagi naruszenia.

Rola IOD podczas obsługi naruszenia

W praktyce często pojawia się błędne przekonanie, że to Inspektor Ochrony Danych decyduje o zgłoszeniu naruszenia lub zawiadomieniu osób, których dane dotyczą.
Tak nie jest.

IOD pełni funkcję doradczą. Jego zadaniem jest wspieranie administratora w interpretacji przepisów, ocenie ryzyk i przygotowaniu rekomendacji.

Do zadań IOD może należeć między innymi:
– udział w analizie naruszenia,
– opiniowanie poziomu ryzyka,
– rekomendowanie środków zaradczych,
– wsparcie przy przygotowaniu dokumentacji,
– doradztwo przy podejmowaniu decyzji dotyczących zgłoszenia naruszenia.

Należy jednak pamiętać, że IOD nie jest organem sprawczym. Nie podejmuje decyzji w imieniu organizacji.

Ostateczną decyzję dotyczącą:
– zgłoszenia naruszenia do Prezesa UODO,
– zawiadomienia osób, których dane dotyczą,
– wdrożenia środków naprawczych,
podejmuje zawsze administrator danych.

Analiza wagi naruszenia. Kluczowy element dokumentacji

Po ustaleniu okoliczności zdarzenia należy przeprowadzić analizę wagi naruszenia.

Jest to jeden z najważniejszych dokumentów powstających po incydencie.

Analiza powinna obejmować między innymi:
– charakter naruszenia,
– kategorię danych,
-liczbę osób objętych incydentem,
– łatwość identyfikacji osób,
– możliwe konsekwencje dla osób fizycznych,
– czas trwania naruszenia,
– zastosowane środki zabezpieczające,
– działania podjęte po wykryciu incydentu.
Warto pamiętać, że celem analizy nie jest jedynie określenie skali problemu i rekomendacji. Jej zadaniem również jest wykazanie procesu podejmowania decyzji przez administratora.

Dlaczego dokumentowanie analizy jest tak ważne?

Każde naruszenie powinno zostać odnotowane w dokumentacji wewnętrznej organizacji, niezależnie od tego, czy zostało zgłoszone organowi nadzorczemu.

Dokumentacja powinna wskazywać:
– przebieg zdarzenia,
– sposób ustalenia faktów,
– wyniki audytu doraźnego,
– przeprowadzoną analizę ryzyka,
– ocenę prawdopodobieństwa wystąpienia negatywnych skutków,
– uzasadnienie podjętych decyzji.

To właśnie ten materiał pokazuje, że administrator działał świadomie i w oparciu o określone przesłanki. Ponadto pokazuje, że administrator pomimo stresującej sytuacji, działa w oparciu o ustalone i precyzyjne procedury. W przypadku kontroli organ nadzorczy może oczekiwać nie tylko informacji o samym zdarzeniu, ale również wyjaśnienia, dlaczego administrator uznał, że naruszenie wymagało lub nie wymagało zgłoszenia.

Czy każde naruszenie trzeba zgłaszać?

Nie każde naruszenie ochrony danych osobowych podlega zgłoszeniu do Prezesa UODO.
Decyzja zależy od wyniku oceny ryzyka dla praw i wolności osób fizycznych.
Dlatego tak duże znaczenie ma rzetelnie przygotowana analiza wagi naruszenia.
Jeżeli administrator uzna, że naruszenie nie powoduje ryzyka dla praw i wolności osób fizycznych, powinien dysponować dokumentacją potwierdzającą takie stanowisko.
Analogicznie wygląda kwestia zawiadamiania osób, których dane dotyczą. Konieczność dokonania takiego zawiadomienia również musi wynikać z przeprowadzonej analizy i oceny skutków incydentu.

Podsumowanie

Skuteczna reakcja na wyciek danych nie kończy się na usunięciu przyczyny incydentu. Kluczowe znaczenie mają działania następcze, w szczególności przeprowadzenie audytu doraźnego, właściwa analiza wagi naruszenia oraz rzetelne udokumentowanie całego procesu decyzyjnego.
Administrator powinien pamiętać, że to on odpowiada za podejmowanie decyzji dotyczących zgłoszenia naruszenia i zawiadamiania osób, których dane dotyczą. Inspektor Ochrony Danych pełni natomiast funkcję doradczą i wspierającą.
Dobrze przygotowana dokumentacja pozwala wykazać zgodność z zasadą rozliczalności i uzasadnić przyjęty sposób postępowania.

Jeżeli potrzebujesz wsparcia przy analizie naruszenia, przeprowadzeniu audytu doraźnego lub przygotowaniu dokumentacji RODO, wejdź w zakładkę „Kontakt” i napisz do nas wiadomość

#RODO #OchronaDanychOsobowych #WyciekDanych #NaruszenieDanych #InspektorOchronyDanych #IOD #Cyberbezpieczenstwo #Compliance #AudytRODO #UODO